Обзор

Roxy — это лёгкий перехватывающий прокси для HTTP и HTTPS с терминальным пользовательским интерфейсом (TUI), написанный на Rust. Он перехватывает, просматривает и изменяет запросы в реальном времени, прежде чем они достигнут сервера, прямо из вашего терминала. Это минималистичная, терминальная альтернатива Burp Suite для повседневного анализа трафика.

Возможности

• Перехват HTTP — перехват и просмотр запросов в реальном времени до того, как они достигнут сервера.
• Перехват HTTPS — полная поддержка MITM через CONNECT, с автоматически генерируемыми сертификатами.
• TLS passthrough (опционально) — оставляет HTTPS-трафик нетронутым, как для всех хостов, так и для выбранного списка.
• Автоматический центр сертификации — локальный CA создаётся при первом HTTPS-запросе, а конечные сертификаты выпускаются для каждого хоста по требованию.
• Редактирование запросов — изменение перехваченных запросов на лету с помощью вашего $EDITOR.
• Repeater — повторная отправка и ручная правка запросов в отдельных вкладках, как Repeater в Burp Suite.
• Параметры командной строки — задайте адрес прослушивания с помощью --host и --port, а также решите, какие хосты перехватывать или пропускать.
• Настраиваемый TUI — чистый и отзывчивый интерфейс, построенный на ratatui.

Установка

Требования

Для сборки из исходного кода вам понадобится:

Требование	Примечания
Rust 1.85 или новее	Проверьте с помощью rustc --version.
Компилятор C	gcc или clang.
$EDITOR	Нужен только для функции редактирования запросов.

Сборка из исходного кода

git clone https://github.com/vid4l-07/Roxy.git
cd Roxy
cargo build --release

Бинарный файл будет доступен по пути target/release/roxy.

Установка прямо из репозитория

cargo install --git https://github.com/vid4l-07/Roxy.git

Бинарный файл будет доступен по пути ~/.cargo/bin/roxy.

Поддержка HTTPS

[!note] Если включён HTTPS passthrough, поддержка HTTPS не требуется.

Где хранятся сертификаты

Что	Расположение	Примечания
Сертификат и ключ CA	~/.config/roxy/ca.crt, ~/.config/roxy/ca.key	Создаются лениво, при первом перехвате HTTPS-запроса.
Конечный сертификат для каждого хоста	/tmp/roxy_certs/<host>.crt, /tmp/roxy_certs/<host>.key	Выпускаются по требованию и кэшируются. Кэш очищается при генерации нового CA.

Доверие к CA Roxy

Roxy генерирует самоподписанный CA с именем Roxy CA.

[!Warning] Каждый HTTPS-запрос будет завершаться ошибкой проверки, пока CA не будет признан доверенным на клиенте.

Установите ~/.config/roxyca.crt в вашем браузере или системе.

Вы также можете скачать его со встроенной веб-страницы по адресу http://roxy (или http://<host>:<port>).

Firefox / Chrome:

1. Settings → Privacy & Security → Certificates → View Certificates.
2. Перейдите на вкладку Authorities и нажмите Import.
3. Выберите ~/.config/roxy/ca.crt.

Системное хранилище CA Для таких инструментов, как curl.

# Debian / Ubuntu
sudo cp ~/.config/roxy/ca.crt /usr/local/share/ca-certificates/roxy.crt
sudo update-ca-certificates

# Fedora / RHEL / Arch
sudo cp ~/.config/roxy/ca.crt /etc/pki/ca-trust/source/anchors/roxy.crt
sudo update-ca-trust extract

Чтобы удалить его, удалите файл и повторно выполните соответствующую команду.

Ротация или удаление CA

rm -rf ~/.config/roxy

Roxy сгенерирует новый CA при следующем HTTPS-запросе и удалит все кэшированные конечные сертификаты. Вам придётся снова признать новый CA доверенным. Не забудьте удалить старый из браузера и системного хранилища.

Использование

Параметры

Параметр	Описание
-h, --host <HOST>	Хост прослушивания. По умолчанию 127.0.0.1.
-p, --port <PORT>	Порт прослушивания. По умолчанию 8080.
--passthrough	Туннелировать HTTPS без расшифровки, для всех хостов.
--passthrough-host <HOSTS>	То же, что --passthrough, но только для перечисленных хостов.
--intercept-https <HOSTS>	Перехватывать эти хосты даже в режиме passthrough.
--help	Вывести справочное сообщение.

# Pass every host through untouched except the one you want to inspect
roxy --passthrough --intercept-https <HOSTS>

Глобальные

Клавиша	Действие
q	Выход
Tab	Переключение между экранами Proxy и Repeater
?	Открыть всплывающую справку для текущего экрана

Proxy

Клавиша	Действие
i	Переключить перехват ВКЛ/ВЫКЛ
Enter	Переслать перехваченный запрос
e	Редактировать запрос во внешнем редакторе
u	Отменить редактирование
U	Повторить редактирование
r	Отправить запрос в Repeater
↑/k	Прокрутить вверх
↓/j	Прокрутить вниз

Repeater

Клавиша	Действие
Enter	Отправить текущий запрос
e	Редактировать запрос во внешнем редакторе
u	Отменить редактирование
U	Повторить редактирование
r	Переименовать текущую вкладку
n	Следующая вкладка Repeater
p	Предыдущая вкладка Repeater
x	Закрыть текущую вкладку
z	Переключить масштабирование на активной панели
↑/k	Прокрутить вверх
↓/j	Прокрутить вниз
←/h / →/l	Переключить фокус между панелями Request и Response
H	Уменьшить ширину панели Request
L	Увеличить ширину панели Request

Внешний редактор

Когда вы нажимаете e, необработанный запрос записывается во временный файл и открывается с помощью бинарного файла, указанного в $EDITOR. Отредактируйте его, сохраните и выйдите. Изменённый запрос заменяет оригинал, а Content-Length пересчитывается автоматически.

Как это работает

1. Слушатель принимает соединения на 127.0.0.1:8080 по умолчанию, настраивается с помощью --host и --port, и обрабатывает каждое в своей асинхронной задаче.
2. Обычный запрос CONNECT получает ответ 200 Connection Established, TLS завершается локально с сертификатом, выпущенным для запрошенного хоста, а расшифрованный запрос читается как обычный HTTP-запрос. Хосты, соответствующие параметрам passthrough, вместо этого перенаправляются на реальный сервер без завершения TLS.
3. Любой другой запрос читается напрямую как обычный HTTP, а назначение определяется из абсолютной цели или заголовка Host.
4. Перехват ВКЛ: запрос передаётся в TUI через канал tokio::mpsc, а соединение ожидает на канале oneshot, пока пользователь его не перешлёт. Запрос можно переслать как есть, сначала отредактировать или отправить в Repeater.
5. Перехват ВЫКЛ: запрос пересылается немедленно.
6. Пересылка открывает соединение с вышестоящим сервером (обычный TCP для HTTP, TLS с проверкой по webpki-roots для HTTPS), записывает запрос и передаёт необработанный ответ обратно клиенту.
7. Repeater повторно отправляет сохранённый запрос при каждом нажатии Enter, выбирая транспорт на основе протокола, с которым запрос был перехвачен, и показывает ответ рядом с запросом.

TUI и прокси никогда не обмениваются состоянием напрямую. Они общаются только через каналы событий, поэтому интерфейс остаётся отзывчивым, пока запросы перехватываются.

Вклад

Вклад всегда приветствуется. Если вы нашли ошибку или хотите помочь с новыми функциями, вы можете: